漏洞概要 关注数(233) 关注此漏洞, e! |+ X7 R+ X. b8 k$ b
, ?: Y0 a" o6 I1 B2 x, m) E; z
缺陷编号： WooYun-2012-15569
6 {) {8 f( a' l2 p/ d
. X9 F0 Q+ q; ?* b漏洞标题： 中国建设银行刷人民币漏洞
# x J9 L [% h" ?
7 k; b: g! ?. u* T相关厂商： 建设银行8 w6 {4 B' F U& b7 z8 Y
6 [5 G7 m. X& a8 H- ]) j
漏洞作者： only_guest- r1 a0 n( r/ g
; c @; D) r2 t0 W4 f
提交时间： 2012-12-03
3 e3 Q, [+ E) E* w1 }' t% l. i* A7 S' G9 F
漏洞类型： 设计缺陷/逻辑错误! l: g; {2 H! V# U- A; k
* }8 u G1 F; n. }' \, P5 a. m# H
危害等级： 高* j+ c9 R; Q" }) }& U/ }- \
7 n; o/ f/ A! Q. V( E
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 3 K2 {) V: F$ {* S
8 ~+ E5 ~/ d9 P* r$ Z漏洞来源： http://www.wooyun.org* A7 p$ ^3 ]" _" `
5 f9 h2 V$ R& N; i9 ]Tags标签： 无
5 g% d3 S8 q2 D" N# O) z' f( r1 i7 u
) s/ R; U% e4 \6 N- ~* `9 U) J0 Z0 J3 D0 J( w
2 e3 ~4 M7 M9 b) e
20人收藏收藏 & j# N: \; s; U, w$ p; b3 H6 c5 a9 B
分享漏洞：
" }& N- K) n- n+ l- ]355 V7 C- y7 X, E" b) s+ H7 a
9 [" t' S' {! B0 M/ w
--------------------------------------------------------------------------------- ^5 T( X1 Q5 t- R* \
x6 _) I9 A& ^7 `; T" k1 C/ a
漏洞详情4 d5 f: Q M1 g8 S, `9 l, Z
+ s5 O9 Q, t8 `. z
披露状态：8 z0 H! I7 c9 L9 {, h/ C7 F; U( n
6 Q' D- Z, t; g: e6 Z( \
|% Z5 J. x/ R. a: U* ]- H4 P9 {! ^
2012-12-03： 细节已通知厂商并且等待厂商处理中
* }4 L: O3 r2 O# Z% h0 F) s) Y2012-12-04： 厂商已经确认，细节仅向厂商公开
$ I7 F* w0 }6 l. z5 ?% a
6 _: I; H7 u2 J6 n' V' u6 g$ M
& j# o A) y( S, B. T简要描述：" A# R6 Y* @/ U( u# {* H6 I: V
+ ~$ m; o- O3 _+ t
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱..., [9 D6 M; U, W0 S9 a6 j
测试用的.你们收回去就是了.我是良民.
2 l4 {+ H! O9 P7 f0 g2 X/ W9 m, G- z: q& ~4 r7 @2 e. a
漏洞hash：47b3d87350e20095c8f314b7b6405711
% B, H& T2 n$ N
8 k/ O |" M7 h' Y版权声明：转载请注明来源 only_guest@乌云, J4 j2 L6 K5 s% t5 Q$ p# m" S2 D
% |& N4 k" w4 l4 R
--------------------------------------------------------------------------------/ v) ~* {- ?3 t
: e+ l# i4 G& h% C; u' h7 W9 M
漏洞回应* f4 F2 D* V5 D
. t z$ y. c0 g( g$ {: U, W厂商回应：
M2 j, z* [. ^( e
/ x* [3 r, u) ?3 {5 _危害等级：高6 T! V9 W; Y, Y6 D4 [; m2 B
3 U) h6 `2 k* W: X9 I漏洞Rank：12
1 y; Z2 M2 k' W, G2 y. p+ [9 Q- t- K: e. J$ i$ K/ ]8 ~
确认时间：2012-12-04
3 S4 @! [+ `3 J# t s o$ y
0 F- {4 Z' r+ B; H" Q7 H% g厂商回复：
C6 P6 m3 v- g2 L/ _
% N7 u7 c7 o1 \' c! ^3 RCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
* k4 J" M5 f2 L& p5 @ 7 x6 B( h% R2 J/ {$ p
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
2 e- {, H, M/ U
8 O! b. y' O+ n% z按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
0 v) W- R) ?+ q |
发表于 2012-12-4 22:29:23
收藏
分享
支持
反对